CN103248479A - 云存储安全系统、数据保护以及共享方法 - Google Patents

Abstract

本发明公开了一种云存储安全系统、数据保护以及共享方法，其中，云存储安全系统包括第三方、客户端和云存储系统，其中：第三方，用于为用户颁发数字证书，并管理所述数字证书；客户端，使用数据密钥对待存储的数据进行加密；获取所述数字证书对应的公钥和私钥，使用公钥加密所述数据密钥，使用私钥解密所述数据密钥；获取和存储所述数字证书，以及存储所述数字证书对应的私钥；将加密后的待存储数据以及数据密钥发送给云存储系统；云存储系统，用于对用户进行访问控制和存储所述客户端的数据。本发明有效避免了云存储系统中可能存在的安全威胁，满足了用户对云存储服务的安全要求。

Description

云存储安全系统、数据保护以及共享方法

技术领域

本发明涉及云存储技术，尤其涉及一种云存储安全系统、数据保护以及共享方法。

背景技术

云存储是在云计算概念的基础上延伸和发展出来的一个新概念。云存储是指通过集群应用、网格技术及分布式文件系统等功能，将网络中各种不同类型的存储设备集合起来协同工作，共同对外提供统一的数据存储和业务访问功能的技术。

随着云存储的迅猛发展，越来越多的人或服务开始选择使用云存储环境来存放资料。云存储可以实现存储虚拟化，大大简化应用环节，节省客户自身建设存储集群的成本，同时，提供更强的存储及共享功能。云存储中所有设备对用户来说完全透明，无论在任何地方，被授权用户都可以通过网络与云存储连接，进行数据访问。用户无需关心存储设备的型号、数量、网络结构、文件系统、应用接口等等。

然而，云存储环境使数据的拥有者失去了对数据的完全控制，这使得数据的安全性面临一系列的威胁。例如，非法用户对云存储服务的恶意访问，大规模僵尸网络对云存储服务的拒绝服务攻击(DoS，Denial Of Service)、用户数据和隐私的恶意窃取、泄漏、非法利用，利用操作系统或者应用服务协议漏洞进行的攻击等。除此以外，组成“云”的各种系统和应用依然要面对在传统的单机或内网环境中所面临的各种病毒、木马和其它恶意软件的威胁。

对数据进行加密是当前保护数据私密性的主流方法。但是，大多数的云存储服务提供商都要求用户信任他们的存储服务器和系统管理员。Verizon在201O年度数据泄露调查报告中指出，有49％的数据泄漏是由内部人员导致的，权限滥用占到了数据泄露的很大一部分，48％的数据泄漏是由于用户恶意滥用访问企业信息的权利而造成的。由此看来，云存储的用户实在很难有理由完全地信任服务提供商。

因此，在云存储环境中研究既能够为用户数据提供安全性和完整性保护，对数据的访问控制高效可靠，又不影响云存储服务系统的性能的云存储安全体系架构，具有重大意义。遗憾的是，目前尚无相关技术可供参考。

发明内容

有鉴于此，本发明的主要目的在于提供一种云存储安全系统、数据保护以及共享方法，能为用户提供更安全的云存储系统，保证用户存储数据的安全性。

为达到上述目的，本发明的技术方案是这样实现的：

一种云存储安全系统，包括第三方、客户端和云存储系统，其中：

第三方，用于为用户颁发数字证书，并管理所述数字证书；

客户端，使用数据密钥对待存储的数据进行加密；获取所述数字证书对应的公钥和私钥，使用公钥加密所述数据密钥，使用私钥解密所述数据密钥；获取和存储所述数字证书，以及存储所述数字证书对应的私钥；将加密后的待存储数据以及数据密钥发送给云存储系统；

云存储系统，用于对用户进行访问控制和存储所述客户端的数据。

优选地，所述客户端包括安全引擎模块、密钥管理模块和发送模块；其中：安全引擎模块，使用数据密钥对待存储数据进行加密；从所述密钥管理模块获取所述数字证书对应的公钥和私钥，使用公钥加密数据密钥，使用私钥解密获取数据密钥；密钥管理模块，用于获取和存储所述第三方的数字证书，以及存储所述数字证书对应的私钥；发送模块，用于将加密后的待存储数据以及数据密钥发送给云存储系统。

优选地，所述数据密钥由所述客户端随机产生，或由所述客户端的用户设置。

优选地，所述数字证书对应的公私钥对由所述第三方产生，并将所述数字证书以及所述数字证书对应的私钥发送给所述客户端。

优选地，所述数字证书对应的公私钥对由所述客户端产生；

所述客户端在获取所述数字证书时，向所述第三方提交所述数字证书的公钥。

优选地，所述密钥管理模块直接从所述第三方获取所述数字证书，在所述云存储系统未获取所述数字证书时，将所述数字证书发送给所述云存储系统；

所述云存储系统存储所述数字证书。

优选地，所述第三方将所述数字证书发送给所述云存储系统；

所述密钥管理模块从所述云存储系统获取所述数字证书。

优选地，所述云存储系统还用于，接收到所述客户端的数据下载请求后，对所述客户端进行身份认证，认证通过后确认所述客户端是否有访问权限，有时向所述客户端发送所述客户端上载的数据；

所述安全引擎模块还用于，利用所述数字证书的私钥对所述数据密钥进行解密，并使用所述数据密钥对所接收到的加密数据进行解密，获取所述数据的明文。

优选地，所述密钥管理模块还用于，从所述第三方获取待数据共享客户端的数字证书；在所述云存储系统中增加所述待数据共享客户端的数据访问权限；所述安全引擎模块还用于，从所述云存储系统获取待共享数据及数据密钥，利用所述数字证书的私钥对所述数据密钥进行解密；并使用所述待数据共享客户端的数字证书对所述数据密钥进行加密；

所述发送模块还用于，将数据密钥以及加密后的数据密钥发送给所述云存储系统。

优选地，所述云存储系统还用于，接收到所述待数据共享客户端的数据访问请求后，对所述客户端进行身份认证，认证通过后确认所述待数据共享客户端是否有访问权限，有时向所述待数据共享客户端发送所述客户端上载的数据；

所述待数据共享客户端利用自身的数字证书的私钥对所述数据密钥进行解密，并使用所述数据密钥对所接收到的加密数据进行解密，获取所述数据。

一种数据保护方法，应用于云存储安全系统中，所述方法包括：

客户端使用数据密钥对待存储数据进行加密；使用数字证书的公钥对所述数据密钥进行加密；将加密后的待存储数据以及数据密钥发送给云存储系统；

所述云存储系统对所述客户端进行访问控制，通过后，存储加密后的待存储数据以及数据密钥；

所述云存储系统接收到所述客户端发送数据访问请求后，对所述客户端进行访问控制，通过后，向所述客户端发送存储于所述云存储系统中的数据所述客户端使用私钥解密安全元数据获取数据密钥，并使用数据密钥解密数据。

一种数据共享方法，应用于云存储安全系统中，所述方法包括：

云存储系统接收到数据拥有者发送的共享数据请求后，对数据拥有者进行访问控制，通过后，将所请求共享数据及其加密后的数据密钥发送给所述数据拥有者；

所述数据拥有者解密所述数据密钥，并使用共享用户的数字证书中的公钥加密所述数据密钥，将新加密的数据密钥发送给所述云存储系统，并增加共享用户对共享数据的访问权限；

云存储系统接收到所述客户端发送数据访问请求后，对所述客户端进行访问控制，通过后，向所述客户端发送共享数据密文及使用共享者数字证书的公钥加密的数据密钥；

共享用户使用自身数字证书对应的私钥解密数据密钥，并使用所述数据密钥解密共享数据密文。

本发明的云存储安全系统中，设置有可生成数字证书的第三方，利用第三方生成的数字证书，客户端将自身随机生成的数据密钥进行加密，再利用数据密钥对待存储到云存储系统的数据进行加密，将加密后的数据密钥和待存储数据发送给云存储系统，由云存储系统进行存储。这样，在接收到客户端对数据的访问请求后，如果客户端身份不合法，其将不具有访问数据的权限；即使获得数据的访问的权限，非法客户端也会因为得不到合法客户端的数据密钥，而无法访问数据。本发明的云存储安全系统有力保障了用户数据的机密性、完整性和可用性，有效避免了云存储系统中可能存在的安全威胁，满足了用户对云存储服务的安全要求。

附图说明

图1为本发明设施例的云存储安全系统的结构示意图；

图2为本发明实施例的云存储安全系统的注册流程图；

图3为本发明实施例的云存储安全系统的上传数据流程图；

图4为本发明实施例的云存储安全系统的下载数据流程图；

图5为本发明实施例的云存储安全系统的数据共享流程图；

图6为本发明实施例的获取数字证书的流程图；

图7为本发明实施例的增加对共享数据访问权限的流程图；

图8为本发明实施例的共享对象的客户端访问共享数据的流程图。

具体实施方式

本发明的基本思想为：云存储安全系统，包括：第三方，用于为用户颁发数字证书，将所述数字证书发送给所述云存储系统和/或所述客户端；进行数字证书相关的管理；客户端，产生数据密钥，使用所述数据密钥对数据进行加密；获取所述第三方的数字证书，使用所述第三方的数字证书的公钥对所述数据密钥进行加密；将加密后的数据以及数据密钥发送给所述云存储系统；云存储系统，用于对用户进行访问控制，存储所接收到的所述数字证书以及所述客户端的数据。

为使本发明的目的、技术方案和优点更加清楚明白，以下举实施例并参照附图，对本发明进一步详细说明。

在云存储服务中，用户将数据托管在云存储服务提供商的云存储系统中，用户失去了对数据的控制权。可以说，数据的安全保障权已由用户向云存储服务商转移。在云存储服务中，数据的安全基本取决于云存储服务商提供的云存储系统的安全保障机制。因此，云存储服务提供商能否为用户提供可信可靠安全的服务成为用户是否选择云存储服务的主要因素。

在云存储服务中，云存储服务提供商具有对用户数据的控制权，因此，云存储服务商的内部人员就具有了对用户数据访问权限，可以获取用户数据，就有可能造成用户的数据泄漏。例如，云存储系统的管理员，可以通过管理权限访问云存储系统，轻易获取系统中的用户数据并对数据进行篡改，从而威胁云存储系统的用户数据安全。如何防止内部人员对云存储的威胁，保证存储在云存储服务商的云存储系统中的用户数据的安全，成为云存储服务业务推广的需要解决的首要问题。

在当前的云存储安全的已有解决方案中，一般采用云存储服务提供商达到云存储系统的安全机制保障数据的安全。虽然这些方案可以一定程度上解决恶意用户窃取用户数据等安全威胁，但还是不能解决内部人员对云存储系统可能造成的安全威胁。

为了有效解决云存储服务中用户数据的安全威胁，既能有效防止云存储服务商内部人员可能造成的数据安全威胁，又能防止用户的非法访问造成的用户数据漏泄，保障用户数据的机密性、完整性和可用性，特此提出了本发明的云存储安全系统。图1为本发明设施例的云存储安全系统的结构示意图，如图1所示，本发明实施例的云存储安全系统包括第三方、客户端和云存储系统。

第三方，负责为用户颁发数字证书，以及进行数字证书相关的管理工作。

客户端，使用数据密钥对待存储的数据进行加密；获取所述数字证书对应的公钥和私钥，使用公钥加密所述数据密钥，使用私钥解密所述数据密钥；获取和存储所述数字证书，以及存储所述数字证书对应的私钥；将加密后的待存储数据以及数据密钥发送给云存储系统。

云存储系统，负责对用户进行访问控制和存储数据。

其中，所述客户端包括安全引擎模块、密钥管理模块和发送模块；其中：安全引擎模块，使用数据密钥对待存储数据进行加密；从所述密钥管理模块获取所述数字证书对应的公钥和私钥，使用公钥加密数据密钥，使用私钥解密获取数据密钥；密钥管理模块，用于获取和存储所述第三方的数字证书，以及存储所述数字证书对应的私钥；发送模块，用于将加密后的待存储数据以及数据密钥发送给云存储系统。

其中，所述数据密钥由所述客户端随机产生，或由所述客户端的用户设置。

其中，所述数字证书对应的公私钥对由所述第三方产生，并将所述数字证书以及所述数字证书对应的私钥发送给所述客户端。

或者，所述数字证书对应的公私钥对由所述客户端产生；

所述客户端在获取所述数字证书时，向所述第三方提交所述数字证书的公钥。

其中，所述密钥管理模块直接从所述第三方获取所述数字证书，在所述云存储系统未获取所述数字证书时，将所述数字证书发送给所述云存储系统；

所述云存储系统存储所述数字证书。

其中，所述第三方将所述数字证书发送给所述云存储系统；

所述密钥管理模块从所述云存储系统获取所述数字证书。

其中，所述云存储系统还用于，接收到所述客户端的数据下载请求后，对所述客户端进行身份认证，认证通过后确认所述客户端是否有访问权限，有时向所述客户端发送所述客户端上载的数据；

所述安全引擎模块还用于，利用所述数字证书的私钥对所述数据密钥进行解密，并使用所述数据密钥对所接收到的加密数据进行解密，获取所述数据的明文。

其中，所述密钥管理模块还用于，从所述第三方获取待数据共享客户端的数字证书；在所述云存储系统中增加所述待数据共享客户端的数据访问权限；所述安全引擎模块还用于，从所述云存储系统获取待共享数据及数据密钥，利用所述数字证书的私钥对所述数据密钥进行解密；并使用所述待数据共享客户端的数字证书对所述数据密钥进行加密；

所述发送模块还用于，将数据密钥以及加密后的数据密钥发送给所述云存储系统。

其中，所述云存储系统还用于，接收到所述待数据共享客户端的数据访问请求后，对所述客户端进行身份认证，认证通过后确认所述待数据共享客户端是否有访问权限，有时向所述待数据共享客户端发送所述客户端上载的数据；

所述待数据共享客户端利用自身的数字证书的私钥对所述数据密钥进行解密，并使用所述数据密钥对所接收到的加密数据进行解密，获取所述数据。

以下通过具体示例，对本发明的技术方案作进一步详细描述。

本发明中，第三方的功能可参考国际标准的公钥基础设施(PKI，Public KeyInfrastructure)体系中的认证机构(CA，Certificate Authority)功能。第三方将根据用户资料信息，向用户颁发数字证书，并负责数字证书的发布、注销等管理工作。客户端、云存储系统与第三方的交互协议也符合CA的标准服务协议。此协议可以保证在使用过程中信息的网络安全。在本实施例中，数字证书格式采用国际X.509证书。

客户端利用数据密钥完成对数据的加密以及对数据密钥的管理。安全引擎模块将随机产生一个随机数，将该随机数作为数据密钥，完成对用户数据的加密，并调用密钥管理模块存储的用户证书对应的公钥对数据密钥进行加密。数据密文和数据密钥的密文将发送给云存储系统进行存储。密钥管理模块将负责完成用户数字证书以及对应私钥的保存。密钥管理模块的实现可以采用操作系统自带证书管理功能或者采用USB Key等设备或其他方法完成密钥的存储和管理功能。如果需要也可以在客户端增加数据完整性保障的相应机制。

云存储系统负责完成数据的存储，并根据用户的请求对用户进行访问控制，为用户提供数据存储和访问服务。云存储系统将为用户的数据建立访问控制信息，用户可以申请修改访问控制信息，实现云存储数据共享等服务。在云存储系统中的数据主要分为两类：数据密文和安全元数据。所谓安全元数据就是数据密钥的密文以及与数据密文相关的其他信息。云存储系统将根据用户(客户端)的访问请求，将请求数据对应的安全元数据信息和数据密文发送给用户(客户端)，用户(客户端)将根据安全元数据，运用自身的私钥获取请求数据的数据密钥，并使用数据密钥解密数据密文获得数据明文。

下面，结合云存储服务的用户注册、上传数据、下载数据、数据共享等云存储服务的典型业务，对云存储安全系统的主要应用方式进行详细说明。需要说明的是，以下示例的附图中，CA是指第三方。

图2为本发明实施例的云存储安全系统的注册流程图，如图2所示，用户使用云存储服务时，需要在云存储系统中注册。云存储系统根据用户提供的个人信息，生成或保存用户的登录名/密码，并向用户发送数字证书。本发明实施例的云存储安全系统的注册具体包括以下步骤：

步骤201，客户端向云存储系统发送注册请求Request-register，注册请求中包含用户的个人信息，例如用户姓名N、地址A等信息，即Request-register＝{N，A}。

步骤202，云存储系根据用户请求中的个人信息，生成或存储用户登录名/密码信息ID/Passward；云存储系统将用户的基本信息I发送给第三方CA，为用户申请数字证书C；I包括用户姓名N、地址A等信息，即I＝{N，A}。

步骤203，第三方CA为用户生成数字证书C，并将数字证书发送给云存储系统，云存储系统将数字证书存储，对外发布；数字证书C即为X.509证书。

步骤204，云存储系统将用户注册结果Result-register，包括用户登录名/密码、数字证书等信息发送给客户端。即，Result-register＝{C，ID/passward}。

用户也可以单独从第三方CA申请数字证书，然后再将数字证书发送给云存储系统进行注册。这种情况下，云存储系统就不需要再向第三方CA申请数字证书了。

图3为本发明实施例的云存储安全系统的上传数据流程图，如图3所示，用户将数据经过客户端加密存储到云存储系统中，云存储系统将存储用户的数据密文和相关的安全元数据。本发明实施例的云存储安全系统的上传数据流程具体包括以下步骤：

步骤301，客户端向云存储系统发送登录请求Request-login，登录请求包括用户ID/Passward；即，Request-login＝{ID/Passward}，或者，为确保安全，可以采用数字证书进行认证C，即，Request-login＝{C}；或者，在多因素认证方式情况下，Request-login＝{ID/Passward，C}。

步骤302，云存储系统对用户进行身份认证。如果认证通过，则向客户端返回登录成功信息Result-login；其中，Result-login＝{“OK”}。

步骤303，客户端随机产生一个随机数N，并以N为数据密钥对数据进行加密，形成数据密文(Data)N；客户端运用数字证书中的公钥Kpu对数据密钥N进行加密，形成安全元数据Data；安全元数据Data包括数据密钥N的密文、数据名称或编号T等信息。客户端向云存储系统发送数据上传请求Request-upload，将数据密文(Data)N、安全元数据Data发送给云存储服务器；其中，安全元数据Data＝{(N)Kpu，T}；Request-upload＝{(Data)N，Data}。

步骤304，云存储系统存储数据密文和安全元数据，并记录该数据的访问控制信息L。完成后向客户端发送上传成功信息Result-upload。访问控制信息内容及格式可参考访问控制表。其中，Result-upload＝“OK”。

图4为本发明实施例的云存储安全系统的下载数据流程图，如图4所示，用户访问云存储系统获取数据时，云存储系统根据用户的访问请求，根据访问控制结果，将数据密文和安全元数据发送给用户。用户在客户端完成对安全元数据和数据密文的解密，从而获取数据。本发明实施例的云存储安全系统的下载数据流程具体包括以下步骤：

步骤401，客户端向云存储系统发送登录请求Request-login，登录请求包括用户ID/Passward；即，Request-login＝{ID/Passward}；或者，为确保安全，可以采用数字证书进行认证C，Request-login＝{C}；或者，在多因素认证方式情况下，Request-login＝{ID/Passward，C}。

步骤402，云存储系统对用户进行身份认证。若认证通过，则向客户端返回登录成功信息Result-login；Result-login＝{“OK”}。

步骤403，客户端向云存储系统发送数据访问请求Request-download，访问请求中包含数据的名称T等信息，即，Request-download＝{T}。

步骤404，云存储系统检查数据的访问控制信息，确定用户是否有权限下载数据；如果访问控制通过，则将数据相关的安全元数据Data和数据密文(Data)N等数据信息Data-download发送给客户端。其中，安全元数据Data＝{(N)Kpu，T}；数据信息Data-download＝{(Data)N，Data}。

客户端运用私钥解密安全元数据Data，获取数据密钥N；并运用N解密Data获取数据密文。

图5为本发明实施例的云存储安全系统的数据共享流程图，如图5所示，数据拥有者Owner要将存储在云存储系统中的数据共享给其他用户Consumer。数据拥有者Owner要将数据共享给其他用户Consumer。Owner首先要获取Consumer的数字证书，然后从云存储系统获取共享数据的安全元数据，用私钥解密安全元数据，获取数据密钥N，并用Consumer的公钥加密N，将加密后的数据密钥增加到原先的安全元数据中，然后将安全元数据发送到云存储系统，并申请修改云存储系统访问控制表，增加Consumer的权限。然后，Consumer可以向云存储系统访问数据，其流程类似于下载数据。Owner获取Consumer的数字证书。客户端(Owner)可以直接到第三方CA申请Consumer的数字证书C-consumer。本发明实施例的云存储安全系统的数据共享流程具体包括以下步骤：

步骤501，用户向第三方CA发送请求Request-c，获取Consumer的数字证书C-consumer；Request-c包括Consumer的名字Name等信息，即Request-c＝{Name}。

步骤502，第三方CA将Consumer的数字证书C-consumer发送给客户端(Owner)。或者，客户端(Owner)向云存储系统申请获取到Consumer的数字证书C-consumer。图6为本发明实施例的获取数字证书的流程图，如图6所示，向云存储系统申请获取到Consumer的数字证书C-consumer的流程具体包括以下步骤：

步骤601，用户向云存储系统发送请求Request-c，获取Consumer的数字证书C-consumer；其中，Request-c包括Consumer的名字Name等信息，即Request-c＝{Name}。

步骤602，云存储系统向第三方CA发送Request-c-ca，获取Consumer的数字证书C-consumer；Request-c-ca包括Consumer的名字Name等信息，即，Request-c-ca＝{Name}。

步骤603，第三方CA将Consumer的数字证书C-consumer发送给客户端云存储系统.

步骤604，云存储系统将Consumer的数字证书C-consumer发送给客户端(Owner)。

增加Consumer对共享数据Data-share访问权限，具体如图7所示，具体包括以下步骤：

步骤701，客户端(Owner)向云存储系统发送登录请求Request-login，登录请求包括用户ID/Passward；Request-login＝{ID/Passward}，或者，为确保安全，可以采用数字证书进行认证C，即Request-login＝{C}，或者，在多因素认证方式情况下，Request-login＝{ID/Passward，C}。

步骤702，云存储系统对用户进行身份认证。如果认证通过，则向客户端(Owner)返回登录成功信息Result-login；Result-login＝{“OK”}。

步骤703，客户端(Owner)向云存储系统发送请求Request-S，要求获取共享数据Data-share的安全元数据；Request-S包括Data-share的名称或编号T-data-share等信息；即Request-s＝{T-data-share}。

步骤704，云存储系统将Data-share对应的安全元数据Data-share，返回给客户端(Owner)；其中，Data-share＝{(N)kpu，T-data-share}。

步骤705，客户端(Owner)用私钥解密安全元数据，获取数据密钥N；然后用Consumer数字证书C-consumer中的公钥加密数字密钥N。新的安全元数据为Data-shares。客户端将Data-shares发送给云存储系统。并向云存储系统发送申请Request-ACL更改共享数据的访问控制信息，增加Consumer的权限；其中，Data-shares＝{(N)pu，(N)pu-c，T-data-share}；Request-ACL＝{T-Data-share，修改权限}。

步骤706，云存储系统对客户端(Owner)进行访问控制，如果客户端(Owner)具有权限更改权力，则修改data-share的访问控制信息。并完成Data-shares存储，向客户端发送成功Result-Data-shares消息。其中，Result-Data-shares＝{“ok”}。

Consumer访问共享数据Data-share，具体如图8所示，包括以下步骤：

步骤801，客户端(Consumer)向云存储系统发送登录请求Request-login，登录请求包括用户ID/Passward；即，Request-login＝{ID/Passward}，或者，为确保安全，可以采用数字证书进行认证C，Request-login＝{C}；或者，在多因素认证方式情况下，Request-login＝{ID/Passward，C}。

步骤802，云存储系统对用户进行身份认证。如果认证通过，则向客户端(Consumer)返回登录成功信息Result-login；其中，Result-login＝{“OK”}。

步骤803，客户端(Consumer)向云存储系统发送数据访问请求Request-download，访问请求中包含共享数据的名称T-data-share等信息。即，Request-download＝{T-data-share}。

步骤804，云存储系统检查数据的访问控制信息，确定Consumer是否有权限下载数据；如果访问控制通过，则将数据相关的安全元数据Data-shares和数据密文(Data)N等数据信息Data-download发送给客户端(Consumer)。其中，Data-shares的部分信息＝{(N)Kpu-c，T-data-share}；数据信息Data-download＝{(Data)N，Data-shares的部分信息}。

客户端(Consumer)运用私钥解密安全元数据Data-shares的部分信息，获取数据密钥N；并运用N解密Data获取数据密文。

本发明的云存储安全系统中，通过设置有可生成数字证书的第三方，利用第三方生成的数字证书，客户端将自身随机生成的数据密钥进行加密，再利用数据密钥对待存储到云存储系统的数据进行加密，将加密后的数据密钥和待存储数据发送给云存储系统，由云存储系统进行存储。这样，在接收到客户端对数据的访问请求后，如果客户端身份不合法，其将不具有访问数据的权限；即使获得数据的访问的权限，非法客户端也会因为得不到合法客户端的数据密钥，而无法访问数据。本发明的云存储安全系统有力保障了用户数据的机密性、完整性和可用性，有效避免了云存储系统中可能存在的安全威胁，满足了用户对云存储服务的安全要求。

以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。

Claims (12)

1.一种云存储安全系统，其特征在于，所述系统包括第三方、客户端和云存储系统，其中：

第三方，用于为用户颁发数字证书，并管理所述数字证书；

客户端，使用数据密钥对待存储的数据进行加密；获取所述数字证书对应的公钥和私钥，使用公钥加密所述数据密钥，使用私钥解密所述数据密钥；获取和存储所述数字证书，以及存储所述数字证书对应的私钥；将加密后的待存储数据以及数据密钥发送给云存储系统；

云存储系统，用于对用户进行访问控制和存储所述客户端的数据。

2.根据权利要求1所述的系统，其特征在于，所述客户端包括安全引擎模块、密钥管理模块和发送模块；其中：安全引擎模块，使用数据密钥对待存储数据进行加密；从所述密钥管理模块获取所述数字证书对应的公钥和私钥，使用公钥加密数据密钥，使用私钥解密获取数据密钥；密钥管理模块，用于获取和存储所述第三方的数字证书，以及存储所述数字证书对应的私钥；发送模块，用于将加密后的待存储数据以及数据密钥发送给云存储系统。

3.根据权利要求1所述的系统，其特征在于，所述数据密钥由所述客户端随机产生，或由所述客户端的用户设置。

4.根据权利要求1所述的系统，其特征在于，所述数字证书对应的公私钥对由所述第三方产生，并将所述数字证书以及所述数字证书对应的私钥发送给所述客户端。

5.根据权利要求1所述的系统，其特征在于，所述数字证书对应的公私钥对由所述客户端产生；

所述客户端在获取所述数字证书时，向所述第三方提交所述数字证书的公钥。

6.根据权利要求2所述的系统，其特征在于，所述密钥管理模块直接从所述第三方获取所述数字证书，在所述云存储系统未获取所述数字证书时，将所述数字证书发送给所述云存储系统；

所述云存储系统存储所述数字证书。

7.根据权利要求2所述的系统，其特征在于，所述第三方将所述数字证书发送给所述云存储系统；

所述密钥管理模块从所述云存储系统获取所述数字证书。

8.根据权利要求2所述的系统，其特征在于，所述云存储系统还用于，接收到所述客户端的数据下载请求后，对所述客户端进行身份认证，认证通过后确认所述客户端是否有访问权限，有时向所述客户端发送所述客户端上载的数据；

所述安全引擎模块还用于，利用所述数字证书的私钥对所述数据密钥进行解密，并使用所述数据密钥对所接收到的加密数据进行解密，获取所述数据的明文。

9.根据权利要求2所述的系统，其特征在于，所述密钥管理模块还用于，从所述第三方获取待数据共享客户端的数字证书；在所述云存储系统中增加所述待数据共享客户端的数据访问权限；所述安全引擎模块还用于，从所述云存储系统获取待共享数据及数据密钥，利用所述数字证书的私钥对所述数据密钥进行解密；并使用所述待数据共享客户端的数字证书对所述数据密钥进行加密；

所述发送模块还用于，将数据密钥以及加密后的数据密钥发送给所述云存储系统。

10.根据权利要求9所述的系统，其特征在于，所述云存储系统还用于，接收到所述待数据共享客户端的数据访问请求后，对所述客户端进行身份认证，认证通过后确认所述待数据共享客户端是否有访问权限，有时向所述待数据共享客户端发送所述客户端上载的数据；

所述待数据共享客户端利用自身的数字证书的私钥对所述数据密钥进行解密，并使用所述数据密钥对所接收到的加密数据进行解密，获取所述数据。

11.一种数据保护方法，应用于云存储安全系统中，其特征在于，所述方法包括：

客户端使用数据密钥对待存储数据进行加密；使用数字证书的公钥对所述数据密钥进行加密；将加密后的待存储数据以及数据密钥发送给云存储系统；

所述云存储系统对所述客户端进行访问控制，通过后，存储加密后的待存储数据以及数据密钥；

所述云存储系统接收到所述客户端发送数据访问请求后，对所述客户端进行访问控制，通过后，向所述客户端发送存储于所述云存储系统中的数据所述客户端使用私钥解密安全元数据获取数据密钥，并使用数据密钥解密数据。

12.一种数据共享方法，应用于云存储安全系统中，其特征在于，所述方法包括：

云存储系统接收到数据拥有者发送的共享数据请求后，对数据拥有者进行访问控制，通过后，将所请求共享数据及其加密后的数据密钥发送给所述数据拥有者；

所述数据拥有者解密所述数据密钥，并使用共享用户的数字证书中的公钥加密所述数据密钥，将新加密的数据密钥发送给所述云存储系统，并增加共享用户对共享数据的访问权限；

云存储系统接收到所述客户端发送数据访问请求后，对所述客户端进行访问控制，通过后，向所述客户端发送共享数据密文及使用共享者数字证书的公钥加密的数据密钥；

共享用户使用自身数字证书对应的私钥解密数据密钥，并使用所述数据密钥解密共享数据密文。

Images